多阶段构建可将go应用镜像从800mb+压至约6.7mb，核心是builder阶段用golang镜像编译并清理冗余，final阶段仅copy静态二进制到scratch或alpine，严格分离构建与运行环境，禁用cgo、裁剪符号表、精准copy路径。
Go 应用 Docker 镜像体积大，不是因为代码重，而是构建方式没隔离——多阶段构建必须分清 builder 和 final 两个角色，否则哪怕加了 CGO_ENABLED=0，镜像仍可能带编译器、go.mod、甚至 /usr/local/go，最终大小超 800MB。
builder 阶段只放 go.mod、go.sum 和源码
常见错误是 COPY . . 一把梭，把 .git、测试文件、vendor、IDE 配置全塞进去，导致缓存失效、体积暴涨、攻击面扩大。
-
COPY go.mod go.sum ./必须在COPY . .之前，且单独成层；只要依赖没变，go mod download就能复用缓存 - 源码只
COPY实际需要的目录，比如COPY cmd/ main.go ./，别用COPY . . - builder 镜像优先选
golang:1.22-slim（Debian base），比 Alpine 兼容性好，DNS、TLS、时区更稳；若确定不用 cgo，golang:1.22-alpine也行，但别用latest—— tag 不固定，CI 构建不可复现
build 命令必须带 -trimpath -s -w 和 CGO_ENABLED=0
缺任意一个参数，二进制就可能含调试符号、绝对路径或动态链接信息，体积多出 5–10MB，还可能暴露本地路径或运行失败。
Go语言（Golang）1.26.0版本提供 Go 官方 Windows amd64 MSI 安装包下载入口，版本号 1.26.0，可用于旧项目维护、兼容性测试和指定版本开发环境配置。
-
CGO_ENABLED=0是硬性要求，Go 1.20+ 默认开启 cgo，哪怕没写 C 代码，net、os/user等包也可能悄悄链接 libc -
GOOS=linux必须显式指定，否则 macOS 或 Windows 上构建会产出 Darwin/Windows 二进制，扔进 Linux 容器直接启动失败 -
-trimpath剥离源码绝对路径，保证可重现构建；-ldflags="-s -w"同时清除符号表和 DWARF 调试信息，体积常降 30%~50% - 完整命令示例：
RUN CGO_ENABLED=0 GOOS=linux go build -trimpath -ldflags="-s -w" -o /app/main ./cmd/app
COPY --from=builder 的路径和阶段名必须严格匹配
Docker 不会自动推断你把二进制放哪了。拼错名字、路径写相对、WORKDIR 设错，都会导致静默失败——构建不报错，但 final 镜像里根本没有可执行文件。
- 阶段名用
AS builder显式声明，COPY --from=builder中的builder必须完全一致（区分大小写） -
COPY --from=builder只支持绝对路径，例如COPY --from=builder /app/main /app/main；写成./main或main会失败 - 确认 builder 阶段真生成了目标文件：编译命令中的
-o路径要和COPY源路径对得上；比如go build -o /tmp/app .，那COPY就得写/tmp/app - 用
docker build --target builder -o /tmp/builder-out .提前导出 builder 阶段内容，手动检查输出是否符合预期
final 阶段用 scratch 还是 alpine？先验证静态链接
别默认选 scratch。它空得连 /etc/resolv.conf、/dev/null 都没有，一发起 HTTPS 请求就报 x509: certificate signed by unknown authority，一查 DNS 就报 no such host，根本不是代码问题。
- 先在 builder 阶段执行
file /app/main，输出必须含statically linked才算安全；如果出现dynamic或interpreter /lib64/ld-linux-x86-64.so.2，说明CGO_ENABLED=0没生效或被覆盖 - 用
scratch前，确保程序不调os/user.Lookup、不读/etc/passwd、不依赖/proc或/sys下的非常规路径；否则换alpine:3.19更省事（仅 ~5MB，自带基础配置） - 若必须用
scratch，HTTPS 请求需手动COPY证书 bundle 到/etc/ssl/certs/ca-certificates.crt；DNS 失败要COPY/etc/resolv.conf和/etc/nsswitch.conf - 运行阶段别留
sh或ls——scratch本来就没有，加了反而破坏最小化原则
最常被跳过的验证点：没跑 file ./main 就直接扔进 scratch，或者以为 CGO_ENABLED=0 写了就一定生效，结果 runtime panic 报的错全是“找不到文件”，实际是动态链接器缺失。动手前，先确认二进制是不是真的静态、路径对不对、依赖文件有没有漏拷。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
